Filtrage DNS (DNS protecteur)

Le filtrage DNS, ou DNS protecteur, est un service de résolution de noms de domaine qui refuse de répondre, ou renvoie vers une page de blocage, quand un poste demande l'adresse d'un domaine connu comme malveillant. Presque toute attaque passe à un moment par une requête DNS (Domain Name System), du lien d'hameçonnage jusqu'au rappel du logiciel malveillant vers son serveur de commande et contrôle. Couper à cet endroit coûte peu, et protège sans agent à installer tout ce qui passe par le résolveur. Le service s'appuie sur des flux de renseignement sur les menaces, sur le blocage des domaines enregistrés depuis quelques jours et sur la détection des noms produits par un algorithme de génération de domaines. Au Royaume-Uni, le National Cyber Security Centre (NCSC) en fournit un au secteur public ; aux États-Unis, la CISA (Cybersecurity and Infrastructure Security Agency) en propose un aux agences fédérales. Le questionnaire cyber le demande comme mesure complémentaire, rarement bloquante, en deux temps : un filtrage DNS est-il en place, et couvre-t-il les postes hors du bureau ? La seconde question est la bonne. Un filtrage posé sur le seul résolveur du siège ne voit rien d'un portable connecté depuis un hôtel, sauf si un agent ou un VPN permanent force le passage par lui. Le souscripteur n'a guère de moyen de le vérifier de l'extérieur et se contente d'une déclaration, au mieux d'une preuve d'abonnement au service. Les angles morts sont connus. Un code malveillant qui contacte directement une adresse IP, sans résolution de nom, passe. Le DNS chiffré dans HTTPS (DoH), activé par un navigateur ou par le code malveillant lui-même, contourne le résolveur de l'entreprise si personne ne l'a interdit sur le réseau. Le filtrage reste une couche de plus, utile surtout contre l'attaque de masse.